Question

我正在使用F5 Networks Big-IP产品，这些产品附加了一个自定义Ethernet II拖车框架用于调试目的。我正在尝试用Scapy为这个预告片绑定一个新图层，但我无法这样做。

我可以在Padding字段中看到感兴趣的有效负载，但是使用bind_layers并不能正确解析所需的Padding部分。

class MyEthTrailer(Packet):
    name = "Ethernet Trailer"
    fields_desc = [ ####Fields Mapping Section ]
    def dissect(self, s):
        self.payl,self.pad = self.extract_padding(s)
        s = self.do_dissect(self.pad)

我想到的一个解决方案是创建一个新的以太网替换类（或过载），然后我可以参考典型的以太网有效载荷和我的新预告片。但我不是一个超级Python / scapy程序员，我不确定这是否是最好的选择。

这是我应用bind_layers（TCP，MyEthTrailer）后Scapy当前映射我的数据包的方式。我应该解析的信息是在Padding类

中

<Ether  dst=00:00:00:00:00:00 src=00:00:00:00:00:01 type=0x8100 |<Dot1Q  prio=0L id=0L vlan=01L type=0x800 |<IP  version=4L ihl=5L tos=0x0 len=67 id=1 flags=DF frag=0L ttl=255 proto=tcp chksum=0x01 src=10.0.0.1 dst=10.0.1.1 options=[] |<TCP  sport=1111 dport=https seq=1 ack=1 dataofs=5L reserved=0L flags=PA window=4380 chksum=0xb718 urgptr=0 options=[] |<MyEthTrailer  |<Padding  load='\xPayload of MyEtherTrailer' |>>>>>>

[UPDATE-1]

我可以通过调用：

强制解码TCP SYN数据包

packet[TCP].decode_payload_as(MyEthTrailer)

然而，bind_layers方法似乎不会自动运行，并且这不适用于更复杂的数据包，因为它将TCP Padding与MyEthTrailer有效负载混合在一起。

[UPDATE-2]

我得到了部分工作，但每个数据包都需要正确地进行转换，然后我可以读取预告片有效负载并对其进行解码。例如，如果数据包是TCP / DNS / MyEthTrailer，这将起作用。如果我不知道它的DNS，并且它没有正确设置，它仍然在TCP有效负载和填充中混合。

感谢您的帮助。

Answer 1

我能够通过重载我的新自定义类MyEthTrailer的pre_dissect函数来实现。我尝试解析具有Padding的最后一层的有效负载，并验证它是否具有正确的长度。

这是处理两件事：

第1部分DISSECT部分

class MyEthTrailer(Packet):
    def pre_dissect(self,s):
        verify_if_payload_is_mine_and_assign_fields()

第2部分手动力有效载荷解码

_debug=True

if re.match(r'F5\-Pseudo-\pkt.+tcpdump',str(packets[0][Raw])):
        if re.match(r'.+CMD\:.+\-s0.+VER\:.+',str(packets[0][Raw])): has_F5_trailer=True
        if re.match(r'.+CMD\:.+\:nnn.+VER\:.+',str(packets[0][Raw])): F5_trailer_noise_level=3
        elif re.match(r'.+CMD\:.+\:nn.+VER\:.+',str(packets[0][Raw])): F5_trailer_noise_level=2
        elif re.match(r'.+CMD\:.+\:n.+VER\:.+',str(packets[0][Raw])): F5_trailer_noise_level=1
        else:
            if _debug: print "No F5 EthTrailer F5_Noise_level visible from packets[0]"
    if has_F5_trailer:
        #Skip the F5 first packet, which only contains the info. 
        for pk in packets[1:]:
            try:
                if isinstance(pk.lastlayer(),Padding):
                    pk.lastlayer().underlayer.decode_payload_as(MyEthTrailer)
            except:
                #Errorhandling

如果有兴趣的话，我会将整个解决方案发布到Github并在此更新。

Scapy - 如何解析以太网预告片字段

1 个答案: